권한 권한은 어떤 한정된 자원내에서 행할수 있는 짓꺼리의 범위를 이야기하죠... 어떤 놀부심보를 가진 사용자가 시스템에 악영향을 끼칠수 있는 짓꺼리를 일삼을꺼라 예상된다면 적절한 조치를 취해야 겠지여... 이러한 시스템 보안의 첫번째는 사용자의 권한 관리입니다... 우리는 앞에서 ls -l 했을때 나온 첫번째 필드 파일의 유형과 퍼미션을 봤습니다... 함 봅시다.. drwxr-xr-x 2 yasi users 512 11월 26일 13:07 dir1 여기서 d는 파일의 유형...즉, 이것은 디렉토리를 의미하고 있습니다.. 파일의 유형은 5가지가 있습니다... 기냥 이런게 있다고 알아두시고... - 일반파일 d 디렉토리 파일 l 심볼릭 링크파일 b block device 파일 c character divice 파일 그 다음 3개 rwx는 해당 사용자의 권한을 이야기하고, 그 다음 3개는 그룹의 권한, 다음은 other의 권합입니다.. 즉, r --> read , w --> write , x --> excute , - --> none 을 의미합니다... 권한을 보려면 첫번째 것은 파일유형이고...그담부터 3개로 끊어서 보면 됩니다... 다음으로 유닉스에서 퍼미션의 인증과정을 살펴보겠습니다.. 일단 ls -n 으로 모든 파일과 디렉토리의 UID, GID를 살펴봅시다.. ========================================================================================================================== $ ls -n 총 14 drwxr-xr-x 2 101 7000 512 11월 26일 13:07 dir1 <--살펴볼것.. drwxr-xr-x 2 101 7000 512 11월 26일 13:08 dir2 <--살펴볼것.. drwxr-xr-x 2 101 7000 512 11월 26일 13:02 dir3 <--살펴볼것.. -rw-r--r-- 1 101 7000 124 11월 24일 17:05 local.cshrc -rw-r--r-- 1 101 7000 607 11월 24일 17:05 local.login -rw-r--r-- 1 101 7000 582 11월 24일 17:05 local.profile drwxr-xr-x 2 101 7000 512 11월 26일 12:20 my -rw-r--r-- 1 101 7000 0 11월 26일 13:02 t_file <--살펴볼것.. ========================================================================================================================== drwxr-xr-x 2 101 7000 512 11월 26일 13:07 dir1 drwxr-xr-x 2 101 7000 512 11월 26일 13:08 dir2 drwxr-xr-x 2 101 7000 512 11월 26일 13:02 dir3 -rw-r--r-- 1 101 7000 0 11월 26일 13:02 t_fil 두번째 필드를 실펴봅시다.. 이것은 UID(User ID) 입니다... 유닉스는 처음 UID를 살펴보고서.....첫번째 필드의 사용자 권한에 관한부분(2번째에서 4번째까지...rwx)의 권한을 봅니다... 그래서 해당 퍼미션에 따른 행동을 하게됩니다... 그러나 UID가 틀리게 되면.....유닉스는 세번째 필드인 GID(Group ID) 를 살펴보고...같으면...group 퍼미션을 부여합니다.. 그것도 안맞으면 other로 넘어가게 되지여... 에구..적절한 예가 없어서리...쩝...이해가 가실랑가 몰것네... 이제 이런 퍼미션들에 대한 직접적인 실습을 해보도록 하자구여.. 일단 퍼미션 및 소유권 변경에 대해서 알아봅니다.. 변경 명령어는 chmod임돠....아무래도 change mode의 줄임말이겠죠... 두가지 방법이 있슴다.. Octal(8진수) 모드 방법 Symbolic(기호) 모드 방법 사용법은 다음과 같습니다.. chmod mode file_name mode는 다음과 같습니다.. u : user o : other g : group a : all 이것을 + (추가) , - (삭제), = (지정) 하고.. r : read w : write x : execute 하게 됩니다... 해보도록 하지여.. ========================================================================================================================== $ chmod g-rwx t_file $ ls -l t_file -rw----r-- 1 yasi users 0 11월 26일 13:02 t_file $ chmod g+wx t_file $ ls -l t_file -rwxrwxr-- 1 yasi users 0 Nov 26 13:02 t_file $ chmod g-wx t_file $ ls -l t_file -rwxr--r-- 1 yasi users 0 Nov 26 13:02 t_file ========================================================================================================================== 위는 기호를 이용한 방법이였구여... 이젠 8진수를 이용하는 방법을 봅시다... 8진수를 이용하는 이유는 눈치를 채셨겠지만...각 소유자와 그룹과 다른그룹이나 사용자의 권한을 3자리로 끊어서 봤었습니다...3자리 이기에 8진수가 오게됩니다.. 예를 들면.... -/rw-/r--/r-- 이렇게 되어 있다면... 처음 사용자에 관한것은 rw-이니까.. 4+2+0 = 6이 됩니다.. 두번째 그룹에 관한것은 r-이니까.. 4+0+0 = 4가 됩니다... 이런식으로 본다면... -/rw-/r--/r-- --> 6 4 4 가 되겠지여...즉, 4, 2, 1을 적용해서 숫자로 표현하는 방식입니다.. 모든 경우의 수를 볼겠슴다.. rwx : 421 : 7 rw- : 420 : 6 r-x : 401 : 5 r-- : 400 : 4 -wx : 021 : 3 -w- : 020 : 2 --x : 001 : 1 --- : 000 : 0 보기보다 쉽죠? 실제로 해봅시다.. ========================================================================================================================== $ ls -l t_file -rwxr--r-- 1 yasi users 0 Nov 26 13:02 t_file $ chmod 777 t_file $ ls -l t_file -rwxrwxrwx 1 yasi users 0 Nov 26 13:02 t_file $ chmod 744 t_file $ ls -l t_file -rwxr--r-- 1 yasi users 0 Nov 26 13:02 t_file $ chmod 000 t_file $ ls -l t_file ---------- 1 yasi users 0 Nov 26 13:02 t_file $ chmod 744 t_file $ ls -l t_file -rwxr--r-- 1 yasi users 0 Nov 26 13:02 t_file ========================================================================================================================== 보통은 이것만 알고 있으면 됩니다...그런데...특수한 경우가 있을 수 있습니다.. 왜냐? 유닉슨 다중 사용자용이니까...특별한 파일에 대한 접근을 요구할수 있습니다.. 그 대표적인 것이 sticky bit와 setuid 설정입니다..sticky bit는 실행파일을 메모리 상주로 만들어 줍니다.. 파일에 set-uid (소유자) 혹은 set-guid (그룹) 권한을 설정하면 소유자가 아닌 다른 사용자가 그 파일을 실행할 경우에는 파일의 실행 동안은 소유자나 그룹의 권한을 갖게 된다. 한동안 set-uid의 권한을 잘못 설정 했을 경우에 일어나는 보안의 문제 때문에 set-uid에 대한 많은 문서들이 만들어지곤 했었다고 합니다... 파일에 set-suid나 set-guid를 설정하려면 역시 chmod 명령어를 다음과 같이 사용합니다. chmod u+s filename ; set-suid를 설정할 경우 chmod g+s filename ; set-guid를 설정할 경우 혹은 절대 모드를 사용하여 설정할 수도 있습니다. 권한을 나타내는 비트의 처음에 '4'를 설정하면 suid를 의미하고, '2'를 설정하면 guid를 의미합니다. suid와 guid를 동시에 설정할 경우에는 '6'를 사용하면 됩니다. 다음의 예를 보면서 이해를 해보자구여. 명령 생성된 모드 의미 chmod 4755 rws r-x r-x 파일에 set-uid 설정 소유자는 읽기, 쓰기, 실행이 가능 그룹과 다른 사용자는 읽기와 실행이 가능 chmod 2711 rwx -s -x 파일에 set-guid 설정 소유자만 읽기, 쓰기, 실행이 가능 chmod 6755 rws r-s r-x 파일에 set-guid 설정 소유자는 읽기, 쓰기, 실행이 가능 그룹과 다른 사용자는 읽기와 실행이 가능 주의 해야 할 것은 set-id를 설정할 때에는 반드시 실행 권한이 있는 파일이어야 한다는 것입니다. 가끔씩 rwS r-x r-x와 같이 suid가 설정이 되어 's'가 표시되어야 할 자리에 'S'가 표시되는 파일들이 있는데, 이는 실행 권한이 없는 파일을 suid로 설정했기 때문이다. 이럴 경우, suid는 무시 됩니다... 8진으로 본다면... 4700 --> setuid 설정 --> -rws------ 2700 --> setgid 설정 --> -rwxrws--- 1777 --> sticky bit설정 --> -rwxrwxrwt 문제는 많은 사용자들이 공용으로 쓰고 있는 임시디렉토리인.../tmp 에 모든 사용자에 대한 쓰기 권한이 부여되어 있는 것입니다.. 그러므로 어떠한 사용자라도 작업하고 있는 것들을 지울 수가 있는 것이죠.. 그렇기 때문에 문제가 생깁니다... 이때 디렉토리에 sticky bit를 설정하면 디렉토리에 쓰기 권한이 있어도 파일의 소유자나 root 만 이 파일을 지울수 있게 됩니다.. 그러므로 메일을 저장하는 디렉토리의 경우는 반드시 sticky bit를 설정해야 합니다.. 이제 살살 나쁜짓을 하고 싶어 질겁니다... 약점들이 슬슬 드러나고 있습니다.. 자..이제 명령어 몇개를 배워봅시다... 파일을 처음 만들게 되면 초기 퍼미션은 어떻게 될까요... 해보면 되겠죠? 아래를 보면...처음 만든게... 8진으로 하면 644입니다... ========================================================================================================================== $ touch test $ ls -l test -rw-r--r-- 1 yasi users 0 Nov 26 16:12 test ========================================================================================================================== 원래 기본값은 파일은 666이고...디렉토리는 777입니다.. 그러나...사용자의 환경설정하기를 umask 022이라고 했습니다.. 그런게 어딨나요??? 다음을 해서 확인해 봅니다.. ========================================================================================================================== $ cat local.cshrc # @(#)cshrc 1.11 89/11/29 SMI umask 022 <-----------------------------------이 부분.. set path=(/bin /usr/bin /usr/ucb /etc .) if ( $?prompt ) then set history=32 endif ========================================================================================================================== 머리를 조금만 굴리면 umask가 무엇을 하는 명령어인지..알것입니다... 일단 환경설정파일에 대해서만 안다면요... 간단히 말하자면...사용자가 로그인을 할때 미리 환경설정해논 것을 읽어와서 사용자가 원하는 환경을 제공해준다는 것입니다.. 그러니까...환경 설정 파일에서 umask 022이란 뜻은 파일을 만들때 기본 퍼미션인인 666에서... 022을 팬다는 의미입니다...그러니까...666 - 022 = 644가 되는 것이지여... 이렇게 하는 이유는 파일 생성시 666 퍼미션을 가지고 있다면 user, group, other의 퍼미션을 모두 같게되어서 파일을 보호하고 접근제어를 할수 없게되기 때문입니다.. 살짝 다시 실습을 해봅시다.. ========================================================================================================================== $ ls -l test -rw-r--r-- 1 yasi users 0 Nov 26 16:12 test $ umask 002 $ touch test2 $ ls -l test2 -rw-rw-r-- 1 yasi users 0 Nov 26 16:21 test2 $ umask 022 $ touch test3 $ ls -l test3 -rw-r--r-- 1 yasi users 0 Nov 26 16:22 test3 ========================================================================================================================== 이번에는 소유권을 변경하는 것을 해봅시다.. 소유권 변경은 소유자와 root 유저만 사용할 수 있습니다.. 소유권에 대한 내용을 보겠습니다.. drwxr-xr-x 2 yasi users 512 11월 26일 13:07 dir1 3번째 필드인 yasi가 소유자입니다.. 일단...root유저로 파일을 한개 만든다음 소유자를 root에서 yasi로 변경해 보겠습니다.. ========================================================================================================================== $ ls -l 총 14 drwxr-xr-x 2 yasi users 512 11월 26일 13:07 dir1 --소유자는 yasi입니다.. drwxr-xr-x 2 yasi users 512 11월 26일 13:08 dir2 drwxr-xr-x 2 yasi users 512 11월 26일 13:02 dir3 -rw-r--r-- 1 yasi users 124 11월 24일 17:05 local.cshrc -rw-r--r-- 1 yasi users 607 11월 24일 17:05 local.login -rw-r--r-- 1 yasi users 582 11월 24일 17:05 local.profile drwxr-xr-x 2 yasi users 512 11월 26일 12:20 my -rwxr--r-- 1 yasi users 0 11월 26일 13:02 t_file -rw-r--r-- 1 yasi users 0 11월 26일 16:12 test -rw-rw-r-- 1 yasi users 0 11월 26일 16:21 test2 -rw-r--r-- 1 yasi users 0 11월 26일 16:22 test3 $ su --root유저로 접속 Password: # touch root_file # ls -l root_file -rw-r--r-- 1 root other 0 11월 26일 18:35 root_file --소유권이 root에 있다. # mkdir root_dir # cd root_dir # pwd /export/home/yasi/root_dir # chown yasi /export/home/yasi/root_file # ls -l root_file root_file: 해당 파일이나 디렉토리가 없음 # ls -l /export/home/yasi/root_file -rw-r--r-- 1 yasi other 0 11월 26일 18:35 /export/home/yasi/root_file # cd /export/home/yasi/root_dir # touch root_file2 # ls -l root_file2 -rw-r--r-- 1 root other 0 11월 26일 18:38 root_file2 # chown -R yasi:users /export/home/yasi/root_dir --해당 디렉토리에 하위 디렉토리까지 모조리 변경하고 그룹까지 변경하고 있다.. -R 옵션사용 # su - yasi Sun Microsystems Inc. SunOS 5.8 Generic February 2000 $ ls -l total 16 drwxr-xr-x 2 yasi users 512 Nov 26 13:07 dir1 drwxr-xr-x 2 yasi users 512 Nov 26 13:08 dir2 drwxr-xr-x 2 yasi users 512 Nov 26 13:02 dir3 -rw-r--r-- 1 yasi users 124 Nov 24 17:05 local.cshrc -rw-r--r-- 1 yasi users 607 Nov 24 17:05 local.login -rw-r--r-- 1 yasi users 582 Nov 24 17:05 local.profile drwxr-xr-x 2 yasi users 512 Nov 26 12:20 my drwxr-xr-x 2 yasi users 512 Nov 26 18:38 root_dir -rw-r--r-- 1 yasi other 0 Nov 26 18:35 root_file --group은 other이다..그룹까지 변경해주지 않았다.. -rwxr--r-- 1 yasi users 0 Nov 26 13:02 t_file -rw-r--r-- 1 yasi users 0 Nov 26 16:12 test -rw-rw-r-- 1 yasi users 0 Nov 26 16:21 test2 -rw-r--r-- 1 yasi users 0 Nov 26 16:22 test3 ========================================================================================================================== 파일의 그룹을 다른 그룹으로 변경하고자 할때는 chgrp 명령어를 사용합니다.. 옵션은 -R 이 똑같습니다.. ========================================================================================================================== $ su Password: # chgrp users /export/home/yasi/root_file # su - yasi Sun Microsystems Inc. SunOS 5.8 Generic February 2000 $ ls -l root_file -rw-r--r-- 1 yasi users 0 Nov 26 18:35 root_file --그룹이 other에서 users로 바뀌었다.. ========================================================================================================================== 해당 사용자의 패스워드를 바꾸어보자.. 패스워드는 root 유저나 해당 사용자만이 변경할 수 있다.. 이것은 당연하지여~ ========================================================================================================================== $ passwd yasi New password: Re-enter new password: passwd (SYSTEM): passwd successfully changed for yasi ========================================================================================================================== 소유권과 퍼미션에 대해서는 여기까지 입니다.. 다음은 버그가 거의 없는 역사적인 vi 편집기의 사용법을 익혀봅시다..